株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
AIガバナンスフレームワークとは
AIガバナンスフレームワークとは、組織がAIシステムを責任を持って開発・運用・管理するための方針・プロセス・体制を体系化した枠組みです。AIの急速な普及に伴い、バイアス、プライバシー侵害、安全性、透明性などのリスクが顕在化しており、企業にはAIの恩恵を最大化しつつリスクを適切に管理する仕組みが求められています。
NIST AI RMFは北米を中心に広く参照されており、ISO/IEC 42001:2023も認証取得が進んでいるとされています。EU AI Actは2026年8月2日に原則適用となりましたが、2026年改正後の高リスクAIの主要義務は対象により2027年12月2日または2028年8月2日から適用されます（欧州委員会の適用日程、2026年10月1日確認）。こうした段階的な規制対応もあり、AIガバナンスは経営の最優先課題の一つとなっています。
主要AIガバナンスフレームワーク比較
| 項目 | NIST AI RMF | ISO/IEC 42001 | EU AI Act |
|---|---|---|---|
| 性質 | 自発的なリスク管理フレームワーク | 認証可能な国際標準（AIMS） | 法的拘束力のある規制 |
| 発行元 | 米国NIST | ISO/IEC | 欧州連合 |
| 対象 | 全セクター・全組織 | 全セクター・全組織 | EU市場にAIを提供する提供者、EU域内の導入者、出力がEU域内で使用される域外の提供者・導入者等（2条。用途・役割・適用除外で判定） |
| 構造 | 4機能（Govern, Map, Measure, Manage） | PDCA管理システム（AIMS） | リスクレベル別の義務（禁止・高リスク・限定リスク・最小リスク） |
| 認証 | なし（自主的な適合宣言） | 第三者認証あり | 適合評価（高リスクAI） |
| 導入期間 | 3〜6か月（初期展開として記載していた参考値。対象・出典未確認） | 6〜12か月（認証取得までとして記載していた参考値。対象・出典未確認） | 規制対応のため事業に応じて変動 |
| 導入コスト目安 | $25,000〜$150,000（従来記載の参考値。国・規模・算定時点・内製工数・支援費の範囲と出典は未確認） | $75,000〜$350,000（認証費を含むとしていた参考値。初回審査・維持審査・更新審査、構築支援費・社内工数の内訳と出典は未確認。認証料金単独の相場として扱わない） | 事業規模・AI用途により大きく変動 |
NIST AI Risk Management Framework（AI RMF）
4つの中核機能
NIST AI RMF 1.0のCoreは以下の4機能でAIリスクを管理します。Governは他の3機能を横断し、固定順序のチェックリストではなく、AIのライフサイクルを通じて反復して適用します。
- Govern（統治）: AIガバナンスの方針・体制・役割を確立。経営層のコミットメント、リスク許容度の設定、文化醸成を含む
- Map（マッピング）: AIシステムの利用コンテキスト、利害関係者、潜在的リスクを特定・分類
- Measure（測定）: リスクの定量的・定性的な評価指標を定義し、AIシステムの信頼性を測定
- Manage（管理）: 特定されたリスクへの対応策を実装・監視し、継続的な改善を推進
企業での活用ポイント
NIST AI RMFは柔軟性が高く、組織の成熟度に応じて段階的に導入できます。多国籍企業ではNISTを規制遵守のオペレーショナルレイヤーとして採用するケースが増えています。2026年10月1日に確認したNIST公式案内は、AI RMF 1.0を改訂中とし、生成AI向けプロファイルNIST AI 600-1（2024年7月26日公開）と重要インフラ向けプロファイルのコンセプトノート（2026年4月7日公開）を案内しています。従来の「2026年を通じたRMF 1.1ガイダンス・拡張プロファイル・評価方法論のリリース予定」という記載に対応する正式資料は未確認で、確定した版名・公表日程としては扱えません。
ISO/IEC 42001（AI管理システム）
認証可能なAI管理システム
ISO/IEC 42001は、組織内でAI管理システム（AIMS: AI Management System）を構築・実装・維持・継続的に改善するための要件を規定する国際標準です。ISO 9001やISO 27001と同様のPDCA（計画-実行-確認-改善）サイクルに基づいており、第三者認証の取得が可能です（ISOの規格概要・FAQ）。以下は実務上の主要論点の整理であり、規格本文の要求事項を網羅した一覧ではありません。認証の対象範囲と適用する管理策を定め、正式な要求事項との対応を確認します。
主な要件
- AIシステムのライフサイクル全体にわたるリスク管理
- AIに関する方針・目的の策定と経営層のコミットメント
- データガバナンス（学習データの品質、バイアス管理）
- 透明性と説明可能性の確保
- 影響を受ける利害関係者への配慮
- 継続的な監視・改善のプロセス
ISO 42001とNIST AI RMFの相互補完
本記事では、NIST AI RMFでリスク評価とガバナンス計画を立て、必要に応じてISO 42001で管理システムを構築・認証取得する進め方を提案します。NISTのリスク管理活動とISOのAIMS要件を照合し、活用できる記録と不足する運用・審査対応を確認します。NISTの先行導入は認証の必須条件ではなく、工数の大幅削減や認証取得を保証するものではありません。
EU AI Act
リスクベースの規制体系
欧州委員会の概要は、AIシステムの規制を主に以下の4つのリスク区分で説明しています。実際の義務は用途と提供者・導入者等の役割で判断し、汎用AI（GPAI）モデルの提供者には別途モデル向けの義務があります。
- 禁止されるAI: 元の収集状況と無関係な不利益扱い等につながる社会的スコアリングや、インターネット・CCTVの顔画像を無差別に収集して顔認識データベースを作成・拡張するAI等（5条1項(c)・(e)）。顔認識全般を一律禁止する意味ではない
- 高リスクAI：採用、信用評価、法執行等の対象用途。附属書IIIに基づく主要義務は2027年12月2日、附属書Iの規制製品に組み込まれる高リスクAIは2028年8月2日から適用。分類要件・例外と提供者／導入者の義務を分けて確認
- 限定リスクAI: チャットボット等ではAIと対話していることの通知など、50条の対象・例外に応じた透明性義務。生成コンテンツの機械可読な識別と、ディープフェイク等の利用者向け開示は別の義務
- 最小リスクAI: スパムフィルター等。高リスクAIとしての追加義務は通常課されないが、他の適用条項や個人情報保護法令等の確認は必要
施行スケジュール
2025年2月2日にAIリテラシーと当初の禁止慣行の規定が適用され、GPAIモデル提供者の義務は2025年8月2日から適用されました。欧州委員会のGPAI執行権限は2026年8月2日から適用され、2025年8月2日より前に市場投入されたGPAIモデルの提供者には2027年8月2日までの移行期間があります（欧州委員会、111条3項）。2026年7月27日発効の改正はAIリテラシーの規定を簡素化し、高リスクAIの主要義務を上記の2027年・2028年へ延期しました。透明性義務は原則2026年8月2日からですが、その前に市場投入された生成AIシステムの50条2項の機械可読な識別措置には2026年12月2日までの経過措置があります。同改正で追加された同意のない性的・親密なコンテンツ等の生成に関する禁止も2026年12月2日からです（改正発効案内、改正文111・113条、PDF 91ページ）。
AIガバナンス導入のステップ
ステップ1: AIインベントリの作成
組織内で使用・開発している全てのAIシステムを棚卸しし、各システムの用途、データソース、影響範囲、リスクレベルを文書化します。シャドーAI（IT部門が把握していないAI利用）の発見も重要です。
ステップ2: リスク評価とフレームワーク選定
各AIシステムのリスクを評価し、適用すべきフレームワークを選定します。EU市場へのAIシステム・GPAIモデルの提供、EU域内での導入、または域外の提供者・導入者のAI出力がEU域内で使用される場合等は、2条の対象・適用除外を確認し、役割・用途に応じてEU AI Actへ対応します。それに加えてNIST AI RMFで包括的なリスク管理体制を構築し、必要に応じてISO 42001認証の取得を検討します。
ステップ3: ガバナンス体制の構築
AI倫理委員会やAIガバナンスオフィスの設置、RACI（責任分担）の明確化、ポリシー文書の策定を行います。経営層のスポンサーシップが成功の鍵であり、AIガバナンスを事業戦略と連動させることが重要です。
ステップ4: プロセスの実装と教育
AIシステムの開発・調達・運用における承認プロセス、リスク評価手順、監視体制を実装します。社内の教育対象はAIを扱う役割とリスクに応じて設計します。EU AI Actの対象となる提供者・導入者には、AIを運用・使用する職員や委託先等の知識、経験、利用状況を踏まえてAIリテラシーの向上を支援する措置が求められます。2026年改正後の4条は、各個人が特定水準に達することの保証までは求めていません。全従業員へ一律の研修を課す義務とは区別します（改正発効案内、改正4条、PDF 45ページ）。
ステップ5: 継続的な監視と改善
AIシステムのパフォーマンス、バイアス、セキュリティを継続的にモニタリングし、ガバナンスプロセスを定期的にレビュー・改善します。規制環境の変化に追従するため、法改正情報の監視も組み込みます。
よくある質問（FAQ）
Q. NIST AI RMFとISO 42001のどちらを先に導入すべきですか？
本記事ではNIST AI RMFを使ってリスク管理の基盤を整理し、取引先や市場の要求に応じてISO 42001認証を検討する進め方を提案します。記載していた3〜6か月と$25,000〜$150,000は対象・算定範囲・出典が未確認であり、NISTが必ず短期・低コストという比較根拠にはできません。既存の管理体制や認証要件を確認して着手順を選び、NISTで作成した記録とISOの要求事項を照合します。先行導入だけで移行や審査が容易になるとは限りません。
Q. EU AI Actは日本企業にも適用されますか？
日本企業でも、EU市場へAIシステムやGPAIモデルを提供する場合や、域外の提供者・導入者のAI出力がEU域内で使用される場合等は適用対象になります（2条1項(a)〜(c)）。単にEUの人へ何らかの影響が及ぶだけで一律適用されるという意味ではありません。個々の用途、役割、適用除外、義務ごとの開始日を確認します。
Q. 中小企業でもAIガバナンスフレームワークの導入は必要ですか？
AIを業務で活用している組織であれば規模を問わず必要です。特にAIの判断が顧客や従業員に影響する場合（採用AI、与信判断等）はリスク管理が不可欠です。中小企業には、NIST AI RMFの機能・カテゴリから自社の用途とリスクに必要な活動を選び、成熟度に応じて拡充する方法を提案します。NISTのプロファイルは利用者の要件・リスク許容度・資源に合わせるもので、規定のテンプレートはありません。従来の「中小企業向け軽量版プロファイル」に対応するNISTの正式資料は未確認であり、特定の公式版名としては案内できません。
まとめ
AIガバナンスフレームワークは、AI活用のリスクを管理し、信頼性と規制遵守を確保するための経営基盤です。NIST AI RMFによるリスク管理、必要に応じたISO 42001認証、対象となるEU AI Actの法的要件への対応を組み合わせる方法を提案します。三つを常に同じ順序で導入する必要はなく、任意規格の採用や認証だけで法令適合が確定するわけでもありません。2026年に適用済みの義務と、改正後の2027年・2028年に開始する高リスクAIの主要義務を分け、自社の対象範囲に沿って準備を進めてください。
株式会社renueでは、AIガバナンス体制の構築やAI導入戦略のコンサルティングを提供しています。フレームワーク選定から実装支援までお気軽にご相談ください。